Տարբերել IKEv2-ի մասնատումը վկայագրերի շղթայի խնդրից

Թունելը աշխատում էր գրասենյակի ցանցում և տնից կախվում է, իսկ մատյանը ցույց է տալիս, որ առաջին փոխանակումն ավարտվում է նախքան որևէ այլ բան տեղի կունենա։ Այդ օրինաչափությունը մատնանշում է նույնականացման փոխանակումը, ոչ թե հավատարմագրերը՝ վկայագրերի շղթան այդ հաղորդագրությունը դարձնում է նախորդից շատ ավելի մեծ, և մեծ տվյալագրամներ չսիրող ուղին այն լռին կթափի։ Ներգրավված են մասնատման երկու տարբեր մեխանիզմներ, և իմանալը, թե որին եք նայում, որոշում է լուծումը։

Մասնատման երկու մեխանիզմ, մեկ ախտանիշ

IKEv2-ն ունի իր մասնատման ընդլայնումը, որը սահմանված է RFC 7383-ում և պաշտպանված IKE հաղորդագրությունները բաժանում է ավելի փոքր IKE հաղորդագրությունների։ Կողմերը բանակցում են այդ հնարավորության շուրջ, և հաղորդագրությունը վերահավաքվում է IKE-ի իրականացման կողմից, ոչ թե IP շերտի։

Սովորական IP մասնատումը այլ մեխանիզմ է՝ ձախողման այլ ռեժիմով։ Կողմերի միջև եղած երթուղիչը մասնատում է մեծ տվյալագրամը, կամ թափում է այն և վերադարձնում ICMP հաղորդագրություն, որը գուցե երբեք չհասնի ուղարկողին։ Որոշ ցանցեր լռին դեն են նետում բեկորները, և որոշ միջանկյալ սարքեր մշակում են առաջին բեկորը, բայց ոչ մնացածը։ Հավելվածի տեսանկյունից բոլոր երեք դեպքերը նույնն են թվում։

NAT-ի հաղթահարումն ավելացնում է երրորդ փոփոխականը, քանի որ այդ դեպքում ESP-ը փաթաթվում է UDP-ի մեջ, և արտաքին փաթեթը մեծանում է՝ միաժամանակ նմանվելով սովորական UDP երթևեկության 4500 նավահանգստում։ UDP-ն լավ անցկացնող ուղին դեռ կարող է ձախողվել այն տվյալագրամի վրա, որն այլևս չի տեղավորվում։

Կարդացեք ձախողված փոխանակումը

Փնտրեք անցումը, ոչ թե սխալը։ Մատյանը, որը ցույց է տալիս սկզբնական փոխանակման ուղարկումը և պատասխանը, այնուհետև ոչինչ, ձեզ ասում է, որ հաջորդ հաղորդագրությունը երբեք չի ավարտվել։ Ժամանակավորապես բարձրացրեք մատյանի մակարդակը և համեմատեք հաղորդված չափերը երկու կողմերում։

Ինչ ուզում եք հաստատել՝ արդյոք պատասխանողը հարցումն ընդհանրապես տեսե՞լ է։ Եթե նախաձեռնողը ինչ-որ բան ուղարկել է, և պատասխանողը դրա մասին որևէ գրառում չունի, խնդիրը առաքումն է։ Եթե պատասխանողը վերլուծել է հարցումը և մերժել, խնդիրը հենց վկայագիրն է, և մասնատումը շեղում է։ Այդ տարբերությունն արժե ավելի, քան ժամկետանց հաղորդագրությունների մի էջ։

Փոխեք ուղին, ոչ վկայագիրը

Փորձեք նույն հաճախորդին, նույն վկայագիրը և նույն կարգավորումը այլ ցանցից։ Բջջային հոթսփոթը սովորաբար ամենաէժան երկրորդ ուղին է, և այն իսկապես տարբերվում է գրասենյակի կապից, ոչ միայն անվանապես։

Եթե ձեռքսեղմումն ավարտվում է երկրորդ ուղու վրա, վկայագրերի շղթան լավ է, և փոփոխականը առաջին ուղին է։ Եթե այն նույնությամբ ձախողվում է երկուսի վրա, դադարեցրեք ցանցերի փորձարկումը և նայեք հենց հաղորդագրություններին։ Այդ մեկ համեմատությունը վերացնում է հնարավոր բացատրությունների մոտ կեսը։

Չափեք փոխանակումը նախքան որևէ բան խմբագրելը

Ստացեք շղթայի չափը և ուղու չափը։ Երկու թվերն էլ սահմանափակում են, թե ինչ կարող է ուղարկել ձեռքսեղմումը, և երկուսն էլ էժան են չափելու համար՝

openssl crl2pkcs7 -nocrl -certfile chain.pem | openssl pkcs7 -print_certs -noout | grep -c subject
ls -l chain.pem
ping -M do -s 1400 198.51.100.7
ip -s link show eth0 | sed -n '1,6p'

Առաջին երկուսը տալիս են վկայագրերի քանակը և ֆայլի չափը, ինչը ողջամիտ ցուցիչ է, թե որքան մեծ կլինի նույնականացման հաղորդագրությունը։ Ping փորձարկումը հաղորդում է՝ արդյոք նման չափի տվյալագրամը գոյատևում է ուղու վրա, իսկ ինտերֆեյսի հաշվիչները ցույց են տալիս՝ արդյոք բեկորները թափվել են ձեր ծայրում։ Windows-ում համարժեք փորձարկումը ping-ն է do-not-fragment դրոշով և բացահայտ օգտակար բեռնվածքի չափով։

Կրկնեք փորձարկումը դեպի ներքև, մինչև այն հաջողվի։ Ամենամեծ չափը, որն անցնում է, այդ ուղու աշխատանքային բյուջեն է, և այն ավելի օգտակար է, քան ցանկացած հրապարակված լռելյայն արժեք։

Վերանորոգեք այն շերտը, որն իրոք կոտրված է

Եթե ուղին թափում է մեծ տվյալագրամներ, միացրեք IKE մասնատումը երկու կողմերում և հաստատեք, որ ընդլայնումը բանակցվել է, ոչ թե պարզապես առաջարկվել։ Եթե ուղին IP մակարդակում վատ է վարվում բեկորների հետ, ուղղումը պատկանում է այնտեղ կամ արտաքին ինտերֆեյսի MTU-ին, ոչ թե վկայագրերի պահոցին։

Եթե շղթան անհարկի երկար է, կրճատեք այն միջանկյալ վկայագրերով, որոնք կողմն իրոք պետք է։ Արմատի հեռացումը, որին հաճախորդն արդեն վստահում է, ողջամիտ սպասարկում է, իսկ միջանկյալինը՝ ոչ, և հաղորդագրությունը կրճատելու համար ստուգման անջատումը առաքման խնդիրը փոխանակում է անվտանգության խնդրով։

Գրեք, թե որ մեխանիզմն եք փոխել և ինչպիսին էր ձեռքսեղմումը դրանից հետո։ Հաջորդ դեպքը սովորաբար լինում է այլ ցանցում նույն ախտանիշով, և հենց գրառումն է, որ երկու ժամը դարձնում է տասը րոպե։